CVE-2026-18512

Nieuwierzytelniony atak Cross Site Scripting (XSS) w wtyczce TranslatePress w wersjach do 3.3.2 włącznie.

Wtyczka TranslatePress dla WordPressa do wersji 3.3.1 włącznie jest podatna na ujawnienie wrażliwych informacji przez akcję AJAX 'trp_get_translations_regular'. Niezalogowani atakujący mogą wyodrębnić surowy URL resetowania hasła administratora, co umożliwia pełne przejęcie konta administratora. Podatność jest wykorzystywana tylko przy włączonym automatycznym zapisywaniu ciągów (domyślnie) i gdy język profilu administratora jest ustawiony na opublikowany język dodatkowy.

Podatność w wtyczce TranslatePress w wersjach do 3.3.2 pozwala nieuwierzytelnionemu atakującemu na eskalację uprawnień.

Wtyczka TranslatePress dla WordPressa do wersji 3.3.3 włącznie jest podatna na trwały atak XSS poprzez wstrzyknięcie hałasu komentarza do parsera HTML. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony. Wykorzystanie jest możliwe, ponieważ lista dozwolonych KSES WordPressa pozwala na strukturę ładunku.

Wtyczka TranslatePress dla WordPressa do wersji 3.2.5 włącznie jest podatna na nieuwierzytelnione przechowywane Cross-Site Scripting (XSS). Specjalne znaczniki gettext '#!trpst#' i '#!trpen#' są bezwarunkowo zamieniane na '<' i '>' przez funkcję translate_page(). Nieuwierzytelniony atakujący może osadzić te znaczniki w komentarzu, a po wyświetleniu posta w drugim języku znaczniki zamieniają się w prawdziwy tag <img>, co umożliwia wykonanie złośliwego skryptu w przeglądarce odwiedzającego.

Wtyczka TranslatePress dla WordPressa jest podatna na Stored Cross-Site Scripting przez komentarze (zakodowane znaczniki gettext) we wszystkich wersjach do 3.2.6 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.

Wtyczka Translate Multilingual sites – TranslatePress dla WordPressa jest podatna na Reflected Cross-Site Scripting (XSS) przez parametr 's' w wersjach do 3.2.5 włącznie. Funkcja translate_page() bezwarunkowo zastępuje wewnętrzne znaczniki #!trpst# i #!trpen# literałowymi nawiasami ostrymi w całym HTML, po tym jak WordPress już oczyścił i zabezpieczył dane wejściowe, co pozwala atakującemu ominąć normalne escapowanie HTML przez użycie tych znaczników w zapytaniu. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na stronach, które wykonają się, jeśli użytkownik kliknie specjalnie spreparowany link.